Как правильно составить схему сети

Не пропаганды open source для, а разнообразия средств ради, воспользуемся Dia. Я считаю его одним из лучших приложений для работы со схемами под Linux. Есть версия для Виндоус, но, к сожалению, совместимости в визио никакой.

Сразу скажу, что на написание мини статейки об основах документирования для наших подписчиков подтолкнул курс от уже упоминавшегося на канале Netskills. Вся основная механика у них на канале:

Курс подойдет для совсем “зеленых”, хотя и для матерых не помешает на x2 скорости пробежаться, чтобы систематизировать и обновить имеющуюся экспертизу. Я же в свою очередь хочу выдать вам основное резюме по данной теме и дополнить материал коллег полезными ништячками шаблонами для документирования.

Все еще интересно? Тогда погнали!

Итак обозначим состав рассматриваемой документации:

Структурная схема. Ее еще ласково называют структурой

Давайте рассмотрим обозначенную доку в двух контекстах: 

1. Проектирование/модернизация;
2. Эксплуатация существующей инфраструктуры. 

Проектирование/модернизация 

Важен порядок разработки документации. И он таков как указано в списке выше. Т.е. идем от общего к частному — от структурной схемы к таблице кабельных соединений. На основании таблицы кабельных соединений уже составляется спецификация на закупку SFP модулей, кабеля, определяются требуемые характеристики оборудования в части количества интерфейсов, их типов и номинальных скоростей.

Эксплуатация существующей инфраструктуры

Чем отличается эксплуатация от проектирования/модернизации. Ну прежде всего эксплуатация это работа с тем что уже имеешь. По факту эксплуатация это про учет изменений. Если документации на существующую инфраструктуру нет или она косая и кривая, то стоит ее разработать с нуля. В данном случае можно пойти от частного к общему. Стоит начать с L2 схемы и пойти выше к структурной схеме. А на инженера по СКС делегировать задачу по заполнению КЖ. L2 схемы ему будет достаточно. Удобный шаблон КЖ дам вам ссылкой.

Итак, у нас есть корректная документация, как основа для дальнейшего учета. С точки зрения эксплуатации дальше просто не забывайте ее актуализировать. 

1. Так выглядит типовая, по дизайну современная структурная схема в draw.io (diagrams.net):

На структурную схему наносятся принципиальные моменты дающее полное, но общее представление о том:

1. Cколько у нас провайдеров;
2. Как у нас выстроена архитектура ЛВС: внешний периметр, ядро, уровень доступа; 
3. Как обстоит дело с отказоустойчивостью. Каскад устройств, как на картинке firewall и core switch, указывает на то, что используется стек. Вот какой конкретно стек: stack wise, vss с единым control plane или vPC/MCLAG домен с раздельным control plane тут не важно. Аспекты типов стекирования отражаются на схеме L2, в таблице кабельных соединений, а особенности настроек в документе под номером 6 — “Описание настроек”.

Еще раз заостряю внимание. Структурная схема — общая информация. Стеки/кластера и связанные с этим концепции укладываем на L2 схему.

2.Так выглядит типовая, по дизайну современная L3 схема в draw.io (diagrams.net):

После того как у нас есть “структурка” мы готовим (требуем от подрядчика) L3 схему.

L3 схема

На L3 схеме отображаются ключевые сегменты сети: стыки access-core, core-FW, FWs (border routers) — ISPs. Если описывается корпоративная инфраструктура, то к ключевым сегментам можно отнести сегменты в которых находятся основные корпоративные ресурсы: dns, почта, NTP, VIP пользователи, гостевой и пользовательский Wi-Fi. Если описывается инфраструктура уровня ЦОД, где может быть десятки тысяч сегментов, необходимо ограничится L3 сегментами лишь стыковых соединений. Сегмент удобно изображать в виде трубы с нанесением на нее адреса подсети и соответствующего идентификатора vlan. Целесообразно указывать default gateway. Оборудование уровня L2: L2 коммутаторы, хабы, медиаконвертеры на L3 схеме не изображаются!

3. Так выглядит типовая, по дизайну современная L2 схема в draw.io (diagrams.net): 

После того как имеется структурная схема и L3 переходим к L2 схеме.

L2 схема

L2 схема это уже про частности канального, местами физического уровня. Тут мы уже делаем акцент на типе используемого кабеля: оптика или медь, стековое соединение. Указываем номер порта, тип линка: агрегированный или нет, режим: trunk или access, id vlans в транках (можно и не указывать, так как их может быть слишком много). Конкретные перечни vlan относящихся к информационным системам клиентов, пользователей и то каким транкам они принадлежат лучше всего отражать в документе “Описание настроек”. На схеме же можно/целесообразно отразить факт наличия in-band и out-of-band менеджмента. Т.е. на наличие управляющего трафика посредством основных каналов и альтернативного варианта управления инфраструктурой посредством выделенных каналов, менеджмент коммутаторов, консольных серверов.

Если оборудование установлено в стойках имеющих нумерацию, то целесообразно нанести на L2 схему имена по следующему принципу. К примеру СoreSW1 у вас находится в стойке F36, 27-й юнит в серверной №1. То целесообразно данному коммутатору дать такое имя: sr1-f36-27-core1. Т.е. sr- server room 1 и дальше логика ясна. Если оборудование разбросано по цодам, то можно заменить на dc#. Пример: dc1-k10-30-fw1 и dc2-g10-12-fw1. У вас есть межсетевые экраны в даталайне и селектеле. Вы определили, что в вашей картине мира даталайн это DC1, а селектел — DC2. Данную идею именования можно развить не только для схематичного отображения, но и по аналогии задавать FQDN этим устройствам на локальных DNS серверах.

На L2 схеме отражаются: коммутаторы, маршрутизаторы, ключевые сервера, рабочие места, аспекты стекирования.

На L2 схеме не отражаются: ip-адреса, виртуальные сущности: vdc, vrf, vds, vdom и тд. и тп. 

Аспекты стекирования на L2 схеме

Traditional — два standalone коммутатора с наличием петли и работающим STP (стоит избегать таких вариантов архитектур, по возможности. Но в кампусе допускается);

StackWise Virtual-Physical/StackWise Virtual-logical — Два коммутатора представляются Access уровню как один виртуальный. Нет риска петель, не надо беспокоится о STP, нет простоя линков (must have в крупном enterprise и data center) 

IP план

При проектировании IP план составляется в Excel таблице. Честно говоря это самый удобный способ так как можно использовать функционал группировок

Вот если говорить не про проект, а про эксплуатацию действующей инфраструктуры, то существует два подхода:

1. Ведение такой же Exel таблицы. Просто функционально, но есть нюансы. Как правило плодится много копий и по итогу информация зачастую не 100% актуальна. Если документ ведет один человек, то это куда не шло. Если к планированию и учету IP пространства причастны >1, то целесообразно использовать специальные продукты (пункт 2). 
2. Система централизованного учета IP пространства. Есть один бесплатный и удобный продукт под названием phpipam, лично его использую. С этим инструментом планирование и учет IP пространства циклопически упрощается (https://phpipam.net/)

Таблица кабельных соединений aka кабельный журнал (КЖ) aka схема коммутации

В организациях наиболее часто встречается именно КЖ, как оперативный документ инженера СКС (структурированная кабельная система). В проектах же редко используется понятие кабельного журнала, чаще всего это таблица кабельных соединений или схема коммутации.  Если руководствоваться моделью OSI, то это уровень L1 — физический. Редко, но можно услышать такое понятие как L1 схема. По факту это все об одном и том же

Кабельный журнал. <<скачать шаблон>>

Маркер — идентификатор связи (по аналогии с ключевым полем в БД). В продаже есть специальные принтера. Можно использовать ручные бобины.

Откуда (Ряд/Шкаф/Юнит)-Оборудование-Плата/порт

КудаОткуда — транзитные (промежуточные) коммутации. Если оконечное оборудование, в нашем примере это блейд корзина HP C7000 подключается портом OA1 (On-board administrator) непосредственно к менеджмент коммутатору Cisco WS-C3750X-24 (Маркер 0051), то блоки КудаОткуда пустые. А вот если взять маркер 0094, то связь между с7000 и коммутаторами ядра пролегает через промежуточную патч-панель и нетподиум (оптическая СКС);

Куда — собственно так же как и Откуда — Оборудование-Плата/порт. Обычно (в большинстве случаев) Откуда — оконечное оборудование: рабочее место, сервер. Куда — коммутатор. Но если связь отражает межкоммутаторное взаимодействие, кластерное взаимодействие, то слева отражается условный 1-й номер, а справа условный 2-й номер.

Тип разъема: RJ-45, MM/SM LC/MM SC и тд. и тп. По данному столбцу сразу понятно что у вас за физика оптика или медь, какой тип оптики мультимод или синглмод, какой тип оптического разьема.

Количество кусков (патчкордов) и их длина— тут все должно быть понятно.

Кто и когда проводил работы — тоже очень важный момент.

Описание настроек

Совершенно необходимы документ при проектировании/модернизации. В практике я встречал еще такой синоним как пусконаладочные карты. В целом, данные документы про настройки по шагам. В них описывается текущая настройка, какие вносятся изменения и для чего, какой результат ожидается. Когда будет этап пусконаладки если ожидаемый результат получен — успех, нет — разбираемся в чем проблема и уже только устранив которую идем дальше;

Дополнительные документы:

7. Расположение оборудование в стойках <<скачать шаблон>> (см. вкладку СКС-2)

8. Схемы подключения питания <<скачать шаблон>>

Очень важные схемы. Предположим у вас в стойках по два независимых луча. Подрядчик или ваш инженер взяли два одноблочных устройства отказоустойчивого  кластера и подключили к одному лучу. Луч вырубился не штатно или планово на регламент и нет больше вашего клачтера — весь сегмент прилег. Если схема имеется, по ней монтировали и по нейже осуществлена приемка и испытания, то не будет вам печали. Возьмите на вооружение) “Знаем, плавали, вся жопа в ракушках”)

P.S. Ссылка на схемы в draw.io

Немного поддержу Netskills еще рекламкой:

https://www.youtube.com/redirect?event=video_description&redir_token=QUFFLUhqbFQxMzRuTndmVlNHcnZ6S285Q2pPZnF4VTRrUXxBQ3Jtc0tuZXQxVnhNRnFWWFVDYXZrQVZ0NFZQM084bFZIa3RjbS1yVjM0SUNNZVhZV3praWFMd3ZaOEFKR3ZMSmpXdFNKVXpDZWl2dXJKSVB4Z01uY1hzQWVGaEt2bWhRLUpDbjZlMkRFdkplSHdfM2k0cG1lOA&q=https%3A%2F%2Fnetskills.ru%2Fosnovi-dokumentirovaniya-setei%2Fcertification

Если материал понравился — лучшая помощь порекомендовать канал товарищу IT-шнику. Лишними знания не бывают)

Спасибо за внимание!

Сети для самых маленьких. Часть нулевая. Планирование

Это первая статья из серии «Сети для самых маленьких». Мы с товарищем thegluck долго думали с чего начать: маршрутизация, VLAN’ы, настройка оборудования.
В итоге решили начать с вещи фундаментальной и, можно сказать, самой важной: планирование. Поскольку цикл рассчитан на совсем новичков, то и пройдём весь путь от начала до конца.

Предполагается, что вы, как минимум читали о эталонной модели OSI (то же на англ.), о стеке протоколов TCP/IP (англ.), знаете о типах существующих VLAN’ов (эту статью я настоятельно рекомендую к прочтению), о наиболее популярном сейчас port-based VLAN и о IP адресах (более подробно). Мы понимаем, что для новичков «OSI» и «TCP/IP» — это страшные слова. Но не переживайте, не для того, чтобы запугать вас, мы их используем. Это то, с чем вам придётся встречаться каждый день, поэтому в течение этого цикла мы постараемся раскрыть их смысл и отношение к реальности.

Начнём с постановки задачи. Есть некая фирма, занимающаяся, допустим, производством лифтов, идущих только вверх, и потому называется ООО «Лифт ми ап». Расположены они в старом здании на Арбате, и сгнившие провода, воткнутые в пожжёные и прожжёные коммутаторы времён 10Base-T не ожидают подключения новых серверов по гигабитным карточкам. Итак у них катастрофическая потребность в сетевой инфраструктуре и денег куры не клюют, что даёт вам возможность безграничного выбора. Это чудесный сон любого инженера. А вы вчера выдержали собеседование и в сложной борьбе по праву получили должность сетевого администратора. И теперь вы в ней первый и единственный в своём роде. Поздравляем! Что дальше?

Следует несколько конкретизировать ситуацию.

1. В данный момент у компании есть два офиса: 200 квадратов на Арбате под рабочие места и серверную. Там представлены несколько провайдеров. Другой на Рублёвке.
2. Есть четыре группы пользователей: бухгалтерия (Б), финансово-экономический отдел (ФЭО), производственно-технический отдел (ПТО), другие пользователи (Д). А так же есть сервера (С), которые вынесены в отдельную группу. Все группы разграничены и не имеют прямого доступа друг к другу.
3. Пользователи групп С, Б и ФЭО будут только в офисе на Арбате, ПТО и Д будут в обоих офисах.

Прикинув количество пользователей, необходимые интерфейсы, каналы связи, вы готовите схему сети и IP-план.
При проектировании сети следует стараться придерживаться иерархической модели сети, которая имеет много достоинств по сравнению с “плоской сетью”:

• упрощается понимание организации сети
• модель подразумевает модульность, что означает простоту наращивания мощностей именно там, где необходимо
• легче найти и изолировать проблему
• повышенная отказоустойчивость засчет дублирования устройств и/или соединений
• распределение функций по обеспечению работоспособности сети по различным устройствам.

Согласно этой модели, сеть разбивается на три логических уровня: ядро сети (Core layer: высокопроизводительные устройства, главное назначение — быстрый транспорт), уровень распространения (Distribution layer: обеспечивает применение политик безопасности, QoS, агрегацию и маршрутизацию в VLAN, определяет широковещательные домены), и уровень доступа (Access-layer: как правило, L2 свичи, назначение: подключение конечных устройств, маркирование трафика для QoS, защита от колец в сети (STP) и широковещательных штормов, обеспечение питания для PoE устройств).

В таких масштабах, как наш, роль каждого устройства размывается, однако логически разделить сеть можно.
Составим приблизительную схему:

На представленной схеме ядром (Core) будет маршрутизатор 2811, коммутатор 2960 отнесём к уровню распространения (Distribution), поскольку на нём агрегируются все VLAN в общий транк. Коммутаторы 2950 будут устройствами доступа (Access). К ним будут подключаться конечные пользователи, офисная техника, сервера.

Именовать устройства будем следующим образом: сокращённое название города (msk) — географическое расположение (улица, здание) (arbat) — роль устройства в сети + порядковый номер.
Соответственно их ролям и месту расположения выбираем hostname:
Маршрутизатор 2811: msk-arbat-gw1 (gw=GateWay=шлюз)
Коммутатор 2960: msk-arbat-dsw1 (dsw=Distribution switch)
Коммутаторы 2950: msk-arbat-aswN, msk-rubl-asw1 (asw=Access switch)

Документация сети

Вся сеть должна быть строго документирована: от принципиальной схемы, до имени интерфейса.
Прежде, чем приступить к настройке, я бы хотел привести список необходимых документов и действий:
• Схемы сети L1, L2, L3 в соответствии с уровнями модели OSI (Физический, канальный, сетевой)
• План IP-адресации = IP-план.
• Список VLAN
• Подписи (description) интерфейсов
• Список устройств (для каждого следует указать: модель железки, установленная версия IOS, объем RAMNVRAM, список интерфейсов)
• Метки на кабелях (откуда и куда идёт), в том числе на кабелях питания и заземления и устройствах
• Единый регламент, определяющий все вышеприведённые параметры и другие.

Жирным выделено то, за чем мы будем следить в рамках программы-симулятора. Разумеется, все изменения сети нужно вносить в документацию и конфигурацию, чтобы они были в актуальном состоянии.

Говоря о метках/наклейках на кабели, мы имеем ввиду это:

На этой фотографии отлично видно, что промаркирован каждый кабель, значение каждого автомата на щитке в стойке, а также каждое устройство.

Подготовим нужные нам документы:

Список VLAN

№ VLAN	VLAN name	Примечание
1	default	Не используется
2	Management	Для управления устройствами
3	Servers	Для серверной фермы
4-100		Зарезервировано
101	PTO	Для пользователей ПТО
102	FEO	Для пользователей ФЭО
103	Accounting	Для пользователей Бухгалтерии
104	Other	Для других пользователей

Каждая группа будет выделена в отдельный влан. Таким образом мы ограничим широковещательные домены. Также введём специальный VLAN для управления устройствами.
Номера VLAN c 4 по 100 зарезервированы для будущих нужд.

IP-план

IP-адрес	Примечание	VLAN
172.16.0.0/16
172.16.0.0/24	Серверная ферма	3
172.16.0.1	Шлюз
172.16.0.2	Web
172.16.0.3	File
172.16.0.4	Mail
172.16.0.5 — 172.16.0.254	Зарезервировано
172.16.1.0/24	Управление	2
172.16.1.1	Шлюз
172.16.1.2	msk-arbat-dswl
172.16.1.3	msk-arbat-aswl
172.16.1.4	msk-arbat-asw2
172.16.1.5	msk-arbat-asw3
172.16.1.6	msk-rubl-aswl
172.16.1.6 — 172.16.1.254	Зарезервировано
172.16.2.0/24	Сеть Point-to-Point
172.16.2.1	Шлюз
172.16.2.2 — 172.16.2.254	Зарезервировано
172.16.3.0/24	ПТО	101
172.16.3.1	Шлюз
172.16.3.2 — 172.16.3.254	Пул для пользователей
172.16.4.0/24	ФЭО	102
172.16.4.1	Шлюз
172.16.4.2 — 172.16.4.254	Пул для пользователей
172.16.5.0/24	Бухгалтерия	103
172.16.5.1	Шлюз
172.16.5.2 — 172.16.5.254	Пул для пользователей
172.16.6.0/24	Другие пользователи	104
172.16.6.1	Шлюз
172.16.6.2 — 172.16.6.254	Пул для пользователей

Выделение подсетей в общем-то произвольное, соответствующее только числу узлов в этой локальной сети с учётом возможного роста. В данном примере все подсети имеют стандартную маску /24 (/24=255.255.255.0) — зачастую такие и используются в локальных сетях, но далеко не всегда. Советуем почитать о классах сетей. В дальнейшем мы обратимся и к бесклассовой адресации (cisco). Мы понимаем, что ссылки на технические статьи в википедии — это моветон, однако они дают хорошее определение, а мы попробуем в свою очередь перенести это на картину реального мира.
Под сетью Point-to-Point подразумеваем подключение одного маршрутизатора к другому в режиме точка-точка. Обычно берутся адреса с маской 30 (возвращаясь к теме бесклассовых сетей), то есть содержащие два адреса узла. Позже станет понятно, о чём идёт речь.

План подключения оборудования по портам

Разумеется, сейчас есть коммутаторы с кучей портов 1Gb Ethernet, есть коммутаторы с 10G, на продвинутых операторских железках, стоящих немалые тысячи долларов есть 40Gb, в разработке находится 100Gb (а по слухам уже даже есть такие платы, вышедшие в промышленное производство). Соответственно, вы можете выбирать в реальном мире коммутаторы и маршрутизаторы согласно вашим потребностям, не забывая про бюджет. В частности гигабитный свич сейчас можно купить незадорого (20-30 тысяч) и это с запасом на будущее (если вы не провайдер, конечно). Маршрутизатор с гигабитными портами стоит уже ощутимо дороже, чем со 100Mbps портами, однако оно того стоит, потому что FE-модели (100Mbps FastEthernet), устарели и их пропускная способность очень невысока.
Но в программах эмуляторах/симуляторах, которые мы будем использовать, к сожалению, есть только простенькие модели оборудования, поэтому при моделировании сети будем отталкиваться от того, что имеем: маршрутизатор cisco2811, коммутаторы cisco2960 и 2950.

Имя устройства	Порт	Название	VLAN
Access	Trunk
msk-arbat-gw1	FE0/1	UpLink
	FE0/0	msk-arbat-dsw1		2,3,101,102,103,104
msk-arbat-dsw1	FE0/24	msk-arbat-gw1		2,3,101,102,103,104
	GE1/1	msk-arbat-asw1		2,3
	GE1/2	msk-arbat-asw3		2,101,102,103,104
	FE0/1	msk-rubl-asw1		2,101,104
msk-arbat-asw1	GE1/1	msk-arbat-dsw1		2,3
	GE1/2	msk-arbat-asw2		2,3
	FE0/1	Web-server	3
	FE0/2	File-server	3
msk-arbat-asw2	GE1/1	msk-arbat-asw1		2,3
	FE0/1	Mail-Server	3
msk-arbat-asw3	GE1/1	msk-arbat-dsw1		2,101,102,103,104
	FE0/1-FE0/5	PTO	101
	FE0/6-FE0/10	FEO	102
	FE0/11-FE0/15	Accounting	103
	FE0/16-FE0/24	Other	104
msk-rubl-asw1	FE0/24	msk-arbat-dsw1		2,101,104
	FE0/1-FE0/15	PTO	101
	FE0/20	administrator	104

Почему именно так распределены VLAN’ы, мы объясним в следующих частях.

Excel-документ со списком VLAN, IP, портов

Схемы сети

На основании этих данных можно составить все три схемы сети на этом этапе. Для этого можно воспользоваться Microsoft Visio, каким-либо бесплатным приложением, но с привязкой к своему формату, или редакторами графики (можно и от руки, но это будет сложно держать в актуальном состоянии :)).

Не пропаганды опен сорса для, а разнообразия средств ради, воспользуемся Dia. Я считаю его одним из лучших приложений для работы со схемами под Linux. Есть версия для Виндоус, но, к сожалению, совместимости в визио никакой.

L1

То есть на схеме L1 мы отражаем физические устройства сети с номерами портов: что куда подключено.

L2

На схеме L2 мы указываем наши VLAN’ы

L3

В нашем примере схема третьего уровня получилась довольно бесполезная и не очень наглядная, из-за наличия только одного маршрутизирующего устройства. Но со временем она обрастёт подробностями.

Dia-файлы со схемами сети: L1, L2, L3

Как видите, информация в документах избыточна. Например, номера VLAN повторяются и на схеме и в плане по портам. Тут как бы кто на что горазд. Как вам удобнее, так и делайте. Такая избыточность затрудняет обновление в случае изменения конфигурации, потому что нужно исправиться сразу в нескольких местах, но с другой стороны, облегчает понимание.

К этой первой статье мы не раз ещё вернёмся в будущем, равно как и вам придётся всегда возвращаться к тому, что вы изначально напланировали.
Собственно задание для тех, кто пока только начинает учиться и готов приложить для этого усилия: много читать про вланы, ip-адресацию, найти программы Packet Tracer и GNS3.
Что касается фундаментальных теоретических знаний, то советуем начать читать Cisco press: раз, два, три (русский язык). Это то, что вам совершенно точно понадобится знать.
В следующей части всё будет уже по-взрослому, с видео, мы будем учиться подключаться к оборудованию, разбираться с интерфейсом и расскажем, что делать нерадивому админу, забывшему пароль.
P.S. Спасибо соавтору статьи — пользователю thegluck.
P.P.S Тем, кто имеет, что спросить, но не имеет возможности свой вопрос здесь задать, милости просим в ЖЖ

Сети для самых маленьких. Часть нулевая. Планирование

29 октября 2012, 16:29

28

35252

108

Это первая статья из серии «Сети для самых маленьких». Мы с Максимом aka Gluck долго думали с чего начать: маршрутизация, VLAN’ы, настройка оборудования.

В итоге решили начать с вещи фундаментальной и, можно сказать, самой важной: планирование. Поскольку цикл рассчитан на совсем новичков, то и пройдём весь путь от начала до конца.

Предполагается, что вы, как минимум, читали о эталонной модели OSI (то же на англ.), о стеке протоколов TCP/IP (англ.), знаете о типах существующих VLAN’ов (эту статью я настоятельно рекомендую к прочтению), о наиболее популярном сейчас port-based VLAN и о IP адресах (более подробно). Мы понимаем, что для новичков «OSI» и «TCP/IP» — это страшные слова. Но не переживайте, не для того, чтобы запугать вас, мы их используем. Это то, с чем вам придётся встречаться каждый день, поэтому в течение этого цикла мы постараемся раскрыть их смысл и отношение к реальности.

Начнём с постановки задачи. Есть некая фирма, занимающаяся, допустим, производством лифтов, идущих только вверх, и потому называется ООО «Лифт ми ап». Расположены они в старом здании на Арбате, и сгнившие провода, воткнутые в пожжёные и прожжёные коммутаторы времён 10Base-T не ожидают подключения новых серверов по гигабитным карточкам. Итак, у них катастрофическая потребность в сетевой инфраструктуре и денег куры не клюют, что даёт вам возможность безграничного выбора. Это чудесный сон любого инженера. А вы вчера выдержали собеседование, и в сложной борьбе по праву получили должность сетевого администратора. И теперь вы в ней первый и единственный в своём роде. Поздравляем! Что дальше?

Следует несколько конкретизировать ситуацию:

1. В данный момент у компании есть два офиса: 200 квадратов на Арбате под рабочие места и серверную. Там представлены несколько провайдеров. Другой на Рублёвке.
2. Есть четыре группы пользователей: бухгалтерия (Б), финансово-экономический отдел (ФЭО), производственно-технический отдел (ПТО), другие пользователи (Д). А так же есть сервера ©, которые вынесены в отдельную группу. Все группы разграничены и не имеют прямого доступа друг к другу.
3. Пользователи групп С, Б и ФЭО будут только в офисе на Арбате, ПТО и Д будут в обоих офисах.

Прикинув количество пользователей, необходимые интерфейсы, каналы связи, вы готовите схему сети и IP-план.

При проектировании сети следует стараться придерживаться иерархической модели сети, которая имеет много достоинств по сравнению с “плоской сетью”:

• упрощается понимание организации сети
• модель подразумевает модульность, что означает простоту наращивания мощностей именно там, где необходимо
• легче найти и изолировать проблему
• повышенная отказоустойчивость за счет дублирования устройств и/или соединений
• распределение функций по обеспечению работоспособности сети по различным устройствам.

Согласно этой модели, сеть разбивается на три логических уровня: ядро сети (Core layer: высокопроизводительные устройства, главное назначение — быстрый транспорт), уровень распространения (Distribution layer: обеспечивает применение политик безопасности, QoS, агрегацию и маршрутизацию в VLAN, определяет широковещательные домены), и уровень доступа (Access-layer: как правило, L2 свичи, назначение: подключение конечных устройств, маркирование трафика для QoS, защита от колец в сети (STP) и широковещательных штормов, обеспечение питания для PoE устройств).

В таких масштабах, как наш, роль каждого устройства размывается, однако логически разделить сеть можно.

Составим приблизительную схему:

На представленной схеме ядром (Core) будет маршрутизатор 2811, коммутатор 2960 отнесём к уровню распространения (Distribution), поскольку на нём агрегируются все VLAN в общий транк. Коммутаторы 2950 будут устройствами доступа (Access). К ним будут подключаться конечные пользователи, офисная техника, сервера.

Именовать устройства будем следующим образом: сокращённое название города (msk) — географическое расположение (улица, здание) (arbat) — роль устройства в сети + порядковый номер. Соответственно их ролям и месту расположения выбираем hostname:

Маршрутизатор 2811: msk-arbat-gw1 (gw=GateWay=шлюз)

Коммутатор 2960: msk-arbat-dsw1 (dsw=Distribution switch)

Коммутаторы 2950: msk-arbat-aswN, msk-rubl-asw1 (asw=Access switch)

Документация сети

Вся сеть должна быть строго документирована: от принципиальной схемы, до имени интерфейса.

Прежде, чем приступить к настройке, я бы хотел привести список необходимых документов и действий:

• Схемы сети L1, L2, L3 в соответствии с уровнями модели OSI (Физический, канальный, сетевой)
• План IP-адресации = IP-план
• Список VLAN
• Подписи (description) интерфейсов
• Список устройств (для каждого следует указать: модель железки, установленная версия IOS, объем RAMNVRAM, список интерфейсов)
• Метки на кабелях (откуда и куда идёт), в том числе на кабелях питания и заземления и устройствах
• Единый регламент, определяющий все вышеприведённые параметры и другие

Жирным выделено то, за чем мы будем следить в рамках программы-симулятора. Разумеется, все изменения сети нужно вносить в документацию и конфигурацию, чтобы они были в актуальном состоянии.

Говоря о метках/наклейках на кабели, мы имеем ввиду это:

На этой фотографии отлично видно, что промаркирован каждый кабель, значение каждого автомата на щитке в стойке, а также каждое устройство.

Подготовим нужные нам документы:

Список VLAN

№ VLAN	VLAN name	Примечание
1	default	Не используется
2	Management	Для управления устройствами
3	Servers	Для серверной фермы
4-100		Зарезервировано
101	PTO	Для пользователей ПТО
102	FEO	Для пользователей ФЭО
103	Accounting	Для пользователей Бухгалтерии
104	Other	Для других пользователей

Каждая группа будет выделена в отдельный влан. Таким образом мы ограничим широковещательные домены. Также введём специальный VLAN для управления устройствами. Номера VLAN c 4 по 100 зарезервированы для будущих нужд.

IP-план

IP-адрес	Примечание	VLAN
172.16.0.0/16
172.16.0.0/24	Серверная ферма	3
172.16.0.1	Шлюз
172.16.0.2	Web
172.16.0.3	File
172.16.0.4	Mail
172.16.0.5 — 172.16.0.254	Зарезервировано
172.16.1.0/24	Управление	2
172.16.1.1	Шлюз
172.16.1.2	msk-arbat-dsw1
172.16.1.3	msk-arbat-asw1
172.16.1.4	msk-arbat-asw2
172.16.1.5	msk-arbat-asw3
172.16.1.6	msk-rubl-aswl
172.16.1.6 — 172.16.1.254	Зарезервировано
172.16.2.0/24	Сеть Point-to-Point
172.16.2.1	Шлюз
172.16.2.2 — 172.16.2.254	Зарезервировано
172.16.3.0/24	ПТО	101
172.16.3.1	Шлюз
172.16.3.2 — 172.16.3.254	Пул для пользователей
172.16.4.0/24	ФЭО	102
172.16.4.1	Шлюз
172.16.4.2 — 172.16.4.254	Пул для пользователей
172.16.5.0/24	Бухгалтерия	103
172.16.5.1	Шлюз
172.16.5.2 — 172.16.5.254	Пул для пользователей
172.16.6.0/24	Другие пользователи	104
172.16.6.1	Шлюз
172.16.6.2 — 172.16.6.254	Пул для пользователей

Выделение подсетей в общем-то произвольное, соответствующее только числу узлов в этой локальной сети с учётом возможного роста. В данном примере все подсети имеют стандартную маску /24 (/24=255.255.255.0) — зачастую такие и используются в локальных сетях, но далеко не всегда. Советуем почитать о классах сетей. В дальнейшем мы обратимся и к бесклассовой адресации (cisco). Мы понимаем, что ссылки на технические статьи в википедии — это моветон, однако они дают хорошее определение, а мы попробуем в свою очередь перенести это на картину реального мира.

Под сетью Point-to-Point подразумеваем подключение одного маршрутизатора к другому в режиме точка-точка. Обычно берутся адреса с маской 30 (возвращаясь к теме бесклассовых сетей), то есть содержащие два адреса узла. Позже станет понятно, о чём идёт речь.

План подключения оборудования по портам

Разумеется, сейчас есть коммутаторы с кучей портов 1Gb Ethernet, есть коммутаторы с 10G, на продвинутых операторских железках, стоящих немалые тысячи долларов есть 40Gb, в разработке находится 100Gb (а по слухам уже даже есть такие платы, вышедшие в промышленное производство). Соответственно, вы можете выбирать в реальном мире коммутаторы и маршрутизаторы согласно вашим потребностям, не забывая про бюджет. В частности гигабитный свич сейчас можно купить незадорого (20-30 тысяч) и это с запасом на будущее (если вы не провайдер, конечно). Маршрутизатор с гигабитными портами стоит уже ощутимо дороже, чем со 100Mbps портами, однако оно того стоит, потому что FE-модели (100Mbps FastEthernet), устарели и их пропускная способность очень невысока. Но в программах эмуляторах/симуляторах, которые мы будем использовать, к сожалению, есть только простенькие модели оборудования, поэтому при моделировании сети будем отталкиваться от того, что имеем: маршрутизатор cisco2811, коммутаторы cisco2960 и 2950.

Имя устройства	Порт	Название	VLAN
Access	Trunk
msk-arbat-gw1	FE0/1	UpLink
	FE0/0	msk-arbat-dsw1		2,3,101,102,103,104
msk-arbat-dsw1	FE0/24	msk-arbat-gw1		2,3,101,102,103,104
	GE1/1	msk-arbat-asw1		2,3
	GE1/2	msk-arbat-asw3		2,101,102,103,104
	FE0/1	msk-rubl-asw1	2,101,104
msk-arbat-asw1	GE1/1	msk-arbat-dsw1		2,3
	GE1/2	msk-arbat-asw2		2,3
	FE0/1	Web-server	3
	FE0/2	File-server	3
msk-arbat-asw2	GE1/1	msk-arbat-asw1		2,3
	FE0/1	Mail-Server	3
msk-arbat-asw3	GE1/1	msk-arbat-dsw1		2,101,102,103,104
	FE0/1-FE0/5	PTO	101
	FE0/6-FE0/10	FEO	102
	FE0/11-FE0/15	Accounting	103
	FE0/16-FE0/24	Other	104
msk-rubl-asw1	FE0/24	msk-arbat-dsw1	2,101,104
	FE0/1-FE0/15	PTO	101
	FE0/20	administrator	104

Почему именно так распределены VLAN’ы, мы объясним в следующих частях.

Excel-документ со списком VLAN, IP, портов

Схемы сети

На основании этих данных можно составить все три схемы сети на этом этапе. Для этого можно воспользоваться Microsoft Visio, каким-либо бесплатным приложением, но с привязкой к своему формату, или редакторами графики (можно и от руки, но это будет сложно держать в актуальном состоянии :)).

Не пропаганды опен сорса для, а разнообразия средств ради, воспользуемся Dia. Я считаю его одним из лучших приложений для работы со схемами под Linux. Есть версия для Виндоус, но, к сожалению, совместимости в визио никакой.

L1

То есть на схеме L1 мы отражаем физические устройства сети с номерами портов: что куда подключено.

L2

На схеме L2 мы указываем наши VLAN’ы

L3

В нашем примере схема третьего уровня получилась довольно бесполезная и не очень наглядная, из-за наличия только одного маршрутизирующего устройства. Но со временем она обрастёт подробностями.

Dia-файлы со схемами сети: L1, L2, L3

Как видите, информация в документах избыточна. Например, номера VLAN повторяются и на схеме и в плане по портам. Тут как бы кто на что горазд. Как вам удобнее, так и делайте. Такая избыточность затрудняет обновление в случае изменения конфигурации, потому что нужно исправиться сразу в нескольких местах, но с другой стороны, облегчает понимание.

К этой первой статье мы не раз ещё вернёмся в будущем, равно как и вам придётся всегда возвращаться к тому, что вы изначально напланировали.

Собственно задание для тех, кто пока только начинает учиться и готов приложить для этого усилия: много читать про вланы, ip-адресацию, найти программы Packet Tracer и GNS3.

Что касается фундаментальных теоретических знаний, то советуем начать читать Cisco press. Это то, что вам совершенно точно понадобится знать.

В следующей части всё будет уже по-взрослому, с видео, мы будем учиться подключаться к оборудованию, разбираться с интерфейсом и расскажем, что делать нерадивому админу, забывшему пароль.

P.S Тем, кто имеет, что спросить, но не имеет возможности свой вопрос здесь задать, милости просим в ЖЖ.

---

Благодарности

Спасибо соавтору статьи — Максиму aka gluck.

Автор
eucariot — Марат Сибгатулин (inst, tg, in)

---

Оставайтесь на связи

Пишите нам: info@linkmeup.ru

Канал в телеграме: t.me/linkmeup_podcast

Канал на youtube: youtube.com/c/linkmeup-podcast

Подкаст доступен в iTunes, Google Подкастах, Яндекс Музыке, Castbox

Сообщество в вк: vk.com/linkmeup

Группа в фб: www.facebook.com/linkmeup.sdsm

Добавить RSS в подкаст-плеер.

Пообщаться в общем чате в тг: https://t.me/linkmeup_chat

Поддержите проект:

28

35252

108

108 коментариев

Ещё статьи

Анонс проекта и подкаста №35

Итак, дорогие друзья, 16-го января состоится запуск нового проекта linkmeup совместно с xgu.ru и UNetLab. Подписывайтесь, чтобы узнать первыми! А 17-го января в прямом эфире подкаста (в 17:00 МСК) мы …

0

10634

48

12 января 2016

Задача №6.2

После настройки OSPF на маршрутизаторах в сибирском кольце, все сети, которые находятся за маршрутизатором в центральном офисе в Москве (msk-arbat-gw1), для Хабаровска доступны по двум маршрутам (через Красноярск и через …

0

24243

2

29 октября 2012

Сети для самых матёрых. Микровыпуск №7. MPLS EVPN

Как вы помните из прошлого выпуска провайдер linkmeup встал на ступень Tier 2. Но просто предоставлять услуги доступа в Интернет или L2/3VPN-ы (быть по сути трубой для трафика) Linkmeup не …

267

43886

0

6 декабря 2016

Cамая большая проблема, с которой я сталкиваюсь при работе с сетями предприятий — это отсутствие чётких и понятных логических схем сети. В большинстве случаев я сталкиваюсь с ситуациями, когда заказчик не может предоставить никаких логических схем или диаграмм. Сетевые диаграммы (далее L3-схемы) являются чрезвычайно важными при решении проблем, либо планировании изменений в сети предприятия. Логические схемы во многих случаях оказываются более ценными, чем схемы физических соединений. Иногда мне встречаются «логически-физически-гибридные» схемы, которые практически бесполезны. Если вы не знаете логическую топологию вашей сети, вы слепы. Как правило, умение изображать логическую схему сети не является общим навыком. Именно по этой причине я пишу эту статью про создание чётких и понятных логических схем сети.

Какая информация должна быть представлена на L3-схемах?

Для того, чтобы создать схему сети, вы должны иметь точное представление о том, какая информация должна присутствовать и на каких именно схемах. В противном случае вы станете смешивать информацию и в итоге получится очередная бесполезная «гибридная» схема. Хорошие L3-схемы содержат следующую информацию:

• подсети
  • VLAN ID (все)
  • названия VLAN’ов
  • сетевые адреса и маски (префиксы)
• L3-устройства
  • маршрутизаторы, межсетевые экраны (далее МСЭ) и VPN-шлюзы (как минимум)
  • наиболее значимые серверы (например, DNS и пр.)
  • ip-адреса этих серверов
  • логические интерфейсы
• информацию протоколов маршрутизации

Какой информации НЕ должно быть на L3-схемах?

Перечисленной ниже информации не должно быть на сетевых схемах, т.к. она относится к другим уровням [модели OSI, прим. пер.] и, соответственно, должна быть отражена на других схемах:

• вся информация L2 и L1 (в общем случае)
• L2-коммутаторы (может быть представлен только интерфейс управления)
• физические соединения между устройствами

Используемые обозначения

Как правило, на логических схемах используются логические символы. Большинство из них не требуют пояснений, но т.к. я уже видел ошибки их применения, то позволю себе остановиться и привести несколько примеров:

• Подсеть, представленная как трубка или линия:
  
• VRF или другая не известная точно зона представляется в виде облака:

  

Какая информация необходима для создания L3-схемы?

Для того, чтобы создать логическую схему сети, понадобится следующая информация:

• Схема L2 (или L1) — представление физических соединений между устройствами L3 и коммутаторами
• Конфигурации устройств L3 — текстовые файлы либо доступ к GUI, и т.д.
• Конфигурации устройств L2 — текстовые файлы либо доступ к GUI, и т.д.

Пример

В данном примере мы будем использовать простую сеть. В ней будут присутствовать коммутаторы Cisco и МСЭ Juniper Netscreen. Нам предоставлена схема L2, также как и конфигурационные файлы большинства представленных устройств. Конфигурационные файлы пограничных маршрутизаторов ISP не предоставлены, т.к. в реальной жизни такую информацию ISP не передаёт. Ниже представлена L2-топология сети:

А здесь представлены файлы конфигурации устройств. Оставлена только необходимая информация:

Сбор информации и её визуализация

Хорошо. Теперь, когда мы имеем всю необходимую информацию, можно приступать к визуализации.

Процесс отображения шаг за шагом

1. Сбор информации:
   1. Для начала откроем файл конфигурации (в данном случае ASW1).
   2. Возьмём оттуда каждый ip-адрес из разделов интерфейсов. В данном случае есть только один адрес (192.168.10.11) с маской 255.255.255.128. Имя интерфейса — vlan250, и имя vlan 250 — In-mgmt.
   3. Возьмём все статические маршруты из конгфигурации. В данном случае есть только один (ip default-gateway), и он указывает на 192.168.10.1.
2. Отображение:
   1. Теперь давайте отобразим информацию, которую мы собрали. Во-первых, нарисуем устройство ASW1. ASW1 является коммутатором, поэтому используем символ коммутатора.
   2. Нарисуем подсеть (трубку). Назначим ей имя In-mgmt, VLAN-ID 250 и адрес 192.168.10.0/25.
   3. Соединим ASW1 и подсеть.
   4. Вставляем текстовое поле между символами ASW1 и подсети. Отобразим в нём имя логического интерфейса и ip-адрес. В данном случае имя интерфейса будет vlan250, и последний октет ip-адреса — .11 (это является общей практикой — отображать только последний октет ip-адреса, т.к. ip-адрес сети уже присутствует на схеме).
   5. Также в сети In-mgmt есть другое устройство. Или, как минимум, должно быть. Нам ещё неизвестно имя этого устройства, но его IP-адрес 192.168.10.1. Мы узнали это потому, что ASW1 указывает на этот адрес как на шлюз по-умолчанию. Поэтому давайте отобразим это устройство на схеме и дадим ему временное имя «??». Также добавим его адрес на схему — .1 (кстати, я всегда выделяю неточную/неизвестную информацию красным цветом, чтобы глядя на схему можно было сразу понять, что на ней требует уточнения).

На этом этапе мы получаем схему, подобную этой:

Повторите этот процесс шаг за шагом для каждого сетевого устройства. Соберите всю информацию, относящуюся к IP, и отобразите на этой же схеме: каждый ip-адрес, каждый интерфейс и каждый статический маршрут. В процессе ваша схема станет очень точной. Убедитесь, что устройства, которые упомянуты, но пока неизвестны, отображены на схеме. Точно так же, как мы делали ранее с адресом 192.168.10.1. Как только вы выполните всё перечисленное для всех известных сетевых устройств, можно начать выяснение неизвестной информации. Вы можете использовать для этого таблицы MAC и ARP (интересно, стоит ли писать следующий пост, рассказывающий подробно об этом этапе?).

В конечном счёте мы будем иметь схему наподобие этой:

Заключение

Нарисовать логическую схему сети можно очень просто, если вы обладаете соответствующими знаниями. Это продолжительный процесс, выполняемый вручную, но это отнюдь не волшебство. Как только у вас есть L3-схема сети, достаточно нетрудно поддерживать её в актуальном состоянии. Получаемые преимущества стоят приложенных усилий:

• вы можете планировать изменения быстро и точно;
• решение проблем занимает гораздо меньше времени, чем до этого. Представим, что кому-то нужно решить проблему недоступности сервиса для 192.168.0.200 до 192.168.1.200. После просмотра L3-схемы можно с уверенностью сказать, что МСЭ не является причиной данной проблемы.
• Вы можете легко соблюдать корректность правил МСЭ. Я видел ситуации, когда МСЭ содержали правила для трафика, который никогда бы не прошёл через этот МСЭ. Этот пример отлично показывает, что логическая топология сети неизвестна.
• Обычно как только L3-схема сети создана, вы сразу заметите, какие участки сети не имеют избыточности и т.д. Другими словами, топология L3 (а также избыточность) является такой же важной как избыточность на физическом уровне.

Автор: qaz

Источник